问题[docker](coding)

我的目标是在 Heroku 中运行一个 docker 容器。我可以在本地构建中运行该容器。当我使用 Github 操作进行部署时，日志显示由于权限被拒绝错误，dockerfile 中的启动 CMD 未运行。

我使用了 Github 操作，因为heroku container:push web给了我405 Method Not Allowed，然后我尝试了这个，它发挥了它的作用。

作为参考，一些文件如下：

Dockerfile：

# FINAL STAGE
FROM alpine

# Install packages
RUN apk update
RUN apk add nginx nginx-mod-http-brotli nodejs npm supervisor

# Server
WORKDIR /app/server
COPY server/package.json server/package-lock.json ./
RUN npm ci
COPY server/src src

# Client
WORKDIR /app/client
COPY --from=build client/dist dist

# supervisord and nginx
WORKDIR /app
COPY supervisord.conf .
COPY nginx.conf.template .

# Runtime scripts
WORKDIR /app
COPY scripts/fillNginxConf.js scripts/
COPY runtime.sh .

# Start
RUN chown -R nginx:nginx /app
RUN chown -R nginx:nginx /etc/nginx/
USER nginx
WORKDIR /app
CMD ["/app/runtime.sh"]

运行时

#!/bin/sh
cd /app/scripts
node fillNginxConf.js
cd ..
supervisord -c supervisord.conf

操作完成但应用程序崩溃并且 Heroku 日志如下：

2024-11-22T12:48:56.893890+00:00 app[api]: Release v78 created by user berkan
2024-11-22T12:48:56.893890+00:00 app[api]: Deployed web (5b109766c096) by user berkan
2024-11-22T12:48:58.295090+00:00 heroku[web.1]: State changed from crashed to starting
2024-11-22T12:49:03.404885+00:00 heroku[web.1]: Starting process with command `/app/runtime.sh`
2024-11-22T12:49:04.146069+00:00 app[web.1]: /bin/sh: /app/runtime.sh: Permission denied
2024-11-22T12:49:04.204831+00:00 heroku[web.1]: Process exited with status 126
2024-11-22T12:49:04.235181+00:00 heroku[web.1]: State changed from starting to crashed

我将非常感激得到一些帮助，我迷路了。

基本上，我的目标是使用带有 .NET 8 的 Visual Studio C# 创建一个 API，并从 Docker 运行它，并使用简单的 curl 或 postman 调用它。

我在 VS 中创建了一个带有 Docker 的 API 项目。在 Docker 中通过 VS 运行该项目是可行的。当我在 IDE 中停止“Docker Start”时，容器仍在 Docker 中运行。由 VS 启动的带有 swagger 的 Web 浏览器停止运行。如果我尝试通过某种方式连接，它会给我“服务器的空回复”。此外，当我停止并启动 docker 容器时，它不起作用。

如何从 Docker 运行此示例，并在 Visual Studio 之外进行 API 调用？

我的代码是使用项目模板“ASP.NET Core Web API”时获得的简单 API 项目。我已选择禁用“配置 HTTPS”。Docker OS 是 Linux。在我的 Program.cs 中，我尝试禁用“UseAuthorization”，但这没有帮助。

我从 Visual Studio 运行获得的结果例如来自命令行：

C:\Users\wintinkm>curl -X GET http://localhost:32785/WeatherForecast
[{"date":"2024-11-19","temperatureC":17,"temperatureF":62,"summary":"Bracing"},{"date":"2024-11-20","temperatureC":19,"temperatureF":66,"summary":"Warm"},{"date":"2024-11-21","temperatureC":16,"temperatureF":60,"summary":"Mild"},{"date":"2024-11-22","temperatureC":17,"temperatureF":62,"summary":"Sweltering"},{"date":"2024-11-23","temperatureC":29,"temperatureF":84,"summary":"Mild"}] 

当我从 Visual Studio 停止正在运行的 docker 时，我仍然看到 docker 容器正在运行，但是相同的命令现在给出：

C:\Users\wintinkm>curl -X GET http://localhost:32786/WeatherForecast
curl: (52) Empty reply from server 

如果我停止并启动在 Docker 中创建的容器 VS，我会得到相同的结果。

当我在 Docker 中停止该容器时，我收到一条结果，说服务器根本无法访问。所以有些东西正在运行，我只是被拒绝了。我不知道为什么，因为我没有使用 SSL 并且禁用了授权。

C:\Users\wintinkm>curl -X GET http://localhost:32786/WeatherForecast
curl: (7) Failed to connect to localhost port 32786 after 2242 ms: Could not connect to server 

当构建容器时，docker-composeDockerfile 没有错误，并且有效地复制了文件，但是在构建映像之后，docker-compose 使用command: ls -la /app并且文件不存在。

设置如下：

docker-compose.yml

version: '3.8'

services:
  web:
    build:
      context: .
      dockerfile: Dockerfile
    command: ls -la /app
    volumes:
      - ./ecommerce:/app
    ports:
      - "8000:8000"
    depends_on:
      - redis
      - rabbitmq
    environment:
      - DEBUG=${DEBUG}
      - DJANGO_SECRET_KEY=${DJANGO_SECRET_KEY}
      - DJANGO_ALLOWED_HOSTS=${DJANGO_ALLOWED_HOSTS}
      - DEVELOPMENT_MODE=${DEVELOPMENT_MODE}
      - STRIPE_PUBLISHABLE_KEY=${STRIPE_PUBLISHABLE_KEY}
      - STRIPE_SECRET_KEY=${STRIPE_SECRET_KEY}
      - STRIPE_WEBHOOK_SECRET=${STRIPE_WEBHOOK_SECRET}
      - REDIS_HOST=redis
      - CELERY_BROKER_URL=amqp://guest:guest@rabbitmq:5672//

  redis:
    image: redis:alpine
    
  rabbitmq:
    image: rabbitmq:3-management
    ports:
      - "5672:5672"
      - "15672:15672"
    environment:
      RABBITMQ_DEFAULT_USER: guest
      RABBITMQ_DEFAULT_PASS: guest

Dockerfile

# Use the official Python image from the Docker Hub
FROM python:3.9-slim

# Set environment variables
ENV PYTHONDONTWRITEBYTECODE 1
ENV PYTHONUNBUFFERED 1


# Set the working directory
WORKDIR /app

# Install system dependencies
RUN apt-get update && apt-get install -y \
    build-essential \
    libpq-dev \
    libpango1.0-0 \
    libcairo2 \
    libgdk-pixbuf2.0-0 \
    libffi-dev \
    shared-mime-info \
    && rm -rf /var/lib/apt/lists/*

# Install Python dependencies
COPY requirements.txt /app
RUN pip install --upgrade pip
RUN pip install -r requirements.txt


# Copy the entrypoint script into the container
COPY ./entry/entrypoint.sh /app  <--- this runs OK but it not listed in the container
RUN chmod +x /app/entrypoint.sh


# Copy the Django project code into the container
COPY ./ecommerce /app

# Collect static files
RUN python manage.py collectstatic --noinput

当使用时gcloud compute instances create-with-container，如果我使用具有 CMD 或 ENTRYPOINT 的图像bash，并且如果我通过 ssh 进入 VM，并最终连接到容器，我最终会进入bash预期的 shell：

> gcloud compute instances create-with-container test \
  --container-image debian:12-slim --container-stdin --container-tty
> gcloud compute ssh test
  ########################[ Welcome ]########################
  #  You have logged in to the guest OS.                    #
  #  To access your containers use 'docker attach' command  #
  ###########################################################

come@test ~ $ docker container ls
CONTAINER ID   IMAGE            COMMAND   CREATED       STATUS             PORTS     NAMES
2667f985b3f1   debian:12-slim   "bash"    2 hours ago   Up About an hour             klt-test-wwbe
come@test ~ $ docker inspect klt-test-wwbe | grep -A 1 Cmd
            "Cmd": [
                "bash"
come@test ~ $ docker attach klt-test-wwbe
root@test:/# echo $SHELL
/bin/bash
root@test:/#

使用以下选项附加容器时，我得到了相同的效果--command：

> gcloud compute ssh test --command "docker attach klt-test-wwbe" -- -t
root@test:/# echo $SHELL
/bin/bash

但是，如果我使用 ssh 进入容器gcloud 并使用选项连接到容器--container，我最终不会进入bashshell：

> gcloud compute ssh test --container klt-test-wwbe
# echo $SHELL

#

为什么会这样？ 如何在使用时获取指定为docker镜像的ENTRYPOINT或CMD的shell（或其他环境）gcloud compute ssh test --container klt-test-wwbe，最好无需输入它。

当然，在这个例子中，我只需输入bash即可。但如果 ENTRYPOINT 或 CMD 不是那么简单，我首先需要检查容器，这有点违背了目的。

我使用 spring-boot-maven-plugin 来构建 docker 镜像。在底层，它使用 buildpacks (paketo)。我对 buildpacks 的了解非常有限。

问题是一个新需求：我们将使用 playwrite 库。此库需要在主机（如果我没记错的话，是浏览器引擎）中安装特定的二进制文件。

Playwrite 团队还为此准备了一个自定义 docker 镜像。如果我使用 dockerfiles，我只需在 mfFROM指令中使用他们的镜像即可。

但是当涉及到 buildpacks 时，是否有办法配置 Spring Boot Maven 插件以在我的镜像上添加额外的二进制文件？还是我应该迁移到其他一些与旧版 dockerfile 兼容的maven 插件（比如这个），并重新获得对镜像创建的明确控制？

我没有特别的理由使用 buildpacks。我使用它们只是因为 spring-boot-maven-plugin 可以与它​​们配合使用。我不清楚它们是否比 dockerfiles 更好，所以我愿意尝试配置它们以包含二进制文件，或者，如果这不可能，则迁移到 dockerfiles 或其他替代方法来构建 docker 镜像。

检查我的docker容器信息显示：

"HostConfig": {
    "Binds": [
        "/opt/myconfig:/run/db_config:rw"
    ],

我怀疑这可以作为一个安装卷：

-v mysql-data:/var/lib/mysql

但是，我需要了解 -v 和创建 Binds 的任何 cmd 之间的区别。哪个 cmd 作为 -v 可以创建 Binds 条目？

具有以下 Dockerfile

FROM ubuntu:20.04
FROM postgres:17.0

##### packages needed that dont come with the image of ubuntu:20.04
RUN apt-get update \
&& apt-get install -y bash \
&& apt-get install -y cron \
&& apt-get install nano
#&& apt-get install -y iputils-ping
#RUN sudo apt install postgresql

COPY backup.sh /usr/local/bin/
COPY setup.sh /usr/local/bin/ 
WORKDIR /usr/local/bin/
RUN chmod +x backup.sh
RUN chmod +x setup.sh
RUN ./setup.sh

# Add the cron job to the crontab
RUN crontab -l | { cat; echo "* * * * * /usr/local/bin/backup.sh 10 'localhost' '5432' 'postgres' 'xxxxx' 'dvdrental' >> /mnt/backups/backup.log 2>&1"; } | crontab -

CMD ["/bin/bash","cron"]

构建容器的命令

sudo docker build --no-cache -t hcorte/backup_container .

运行容器的命令

sudo docker run --name ubuntu -v /mnt/backups/:/mnt/backups/ --add-host host.docker.internal:host-gateway -itd hcorte/backup_container bash

当附加到容器并运行命令时service cron status返回

cron 没有运行...失败！

但是没有 CMD ["/bin/bash","cron"]指示启动 cron 服务吗？Dockerfile 需要进行哪些更改才能让 cron 服务在开始时就启动？

我有一个如下所示的 yaml Azure DevOps 管道，它正在尝试使用来自另一个组织的 nuget 提要。

如您所见，我正在使用 nugetauthenticate@1 任务使用目标组织中的用户创建的服务连接来创建有效凭据。

我有一个由管道调用的 docker 文件，在其中我通过它们的 sh 脚本安装工件凭证提供程序。

我正在 dockerfile 中设置 JSON 环境变量，并将有效的 PAT 传递到 docker 任务中：

arguments: '--build-arg FEED_ACCESSTOKEN=$(VSS_NUGET_ACCESSTOKEN)'

nb 我已尝试使用 cred 提供程序变量 $(VSS_NUGET_ACCESSTOKEN) 并使用包含有效 PAT 的我自己的管道变量。

当我在 docker 步骤中调用 dotnet restore 时，该步骤出现以下错误：

error NU1301: Unable to load the service index for source https://pkgs.dev.azure.com/{org}/_packaging/{feed}/nuget/v3/index.json

我已经打开了详细日志记录，并且凭据提供程序正在使用提供的配置，但我没有收到 Auth (401) 问题，只是在访问 nuget 索引页面 feed 时出现错误，所以我认为它甚至没有机会进行身份验证。

如有任何建议，我将不胜感激。

管道：

trigger:
- main

pool:
  vmImage: 'ubuntu-latest'

variables:  
  buildConfiguration: 'Release'
  NUGET.PLUGIN.HANDSHAKE.TIMEOUT.IN.SECONDS: 20
  NUGET.PLUGIN.REQUEST.TIMEOUT.IN.SECONDS: 20

steps:

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'nuget-feed'

- task: NodeTool@0
  inputs:
    versionSpec: '18.17.1'

- task: DotNetCoreCLI@2
  inputs:
    command: 'build'
    arguments: 'xxx/xxx.sln'

- task: Docker@2
  inputs:
    command: 'build'
    Dockerfile: 'xxx/xxx/Dockerfile'
    buildContext: 'xxx'
    arguments: '--build-arg FEED_ACCESSTOKEN=$(VSS_NUGET_ACCESSTOKEN)'
    
- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Docker 文件：

FROM mcr.microsoft.com/dotnet/aspnet:6.0.14-bullseye-slim-amd64 AS base
ARG FEED_ACCESSTOKEN

WORKDIR /app
EXPOSE 80
EXPOSE 443

FROM mcr.microsoft.com/dotnet/sdk:6.0.427-1-bullseye-slim-amd64 AS build

ENV NUGET_PLUGIN_HANDSHAKE_TIMEOUT_IN_SECONDS=60
ENV NUGET_PLUGIN_REQUEST_TIMEOUT_IN_SECONDS=60
RUN curl -L https://raw.githubusercontent.com/Microsoft/artifacts-credprovider/master/helpers/installcredprovider.sh  | sh

WORKDIR /src
COPY ["xxx/xxx.csproj", "xxx/"]
COPY ["xxx/nuget.config", "xxx/"]

ENV VSS_NUGET_EXTERNAL_FEED_ENDPOINTS="{\"endpointCredentials\": [{\"endpoint\":\"https://pkgs.dev.azure.com/{org}/_packaging/{feed}/nuget/v3/index.json\", \"username\":\"docker\", \"password\":\"${FEED_ACCESSTOKEN}\"}]}"
RUN echo $VSS_NUGET_EXTERNAL_FEED_ENDPOINTS

RUN dotnet restore "xxx/xxx.csproj" --verbosity detailed

以下是基本的 Docker NGINX 镜像：

FROM nginx:alpine
COPY src /usr/share/nginx/html
EXPOSE 80

图像的元数据包括暴露的端口：

> docker inspect --format '{{json .Config.ExposedPorts}}' ...
{"80/tcp":{}}

但是使用 运行时docker run --publish-all服务器无法访问。
必须使用 运行docker run --publish 80:80。

但是，记录图像的端口的目的难道不是EXPOSE为了让它们能够被发布而不需要明确列出吗--publish-all？

我正在尝试使用 nginx 反向代理（不在容器中，而是在主机上）在 docker 容器中设置一个简单的 web 应用程序。

以下是我运行容器的方式：

docker run -d --name mywebapp -v /webapp/:/data/ --restart unless-stopped -p 5665:80 mywebapp/server:latest

Web 应用程序监听80容器内的端口，我将其转发到5665主机端口。

nginx 反向代理监听端口5666并将请求转发到转发的容器端口5665。

输出netstat -lntup（仅相关行）：

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:5666            0.0.0.0:*               LISTEN      29369/nginx: master 
tcp        0      0 0.0.0.0:5665            0.0.0.0:*               LISTEN      151974/docker-proxy 

我想配置防火墙来阻止除5666端口之外的所有外部连接。

以下是我的nftables规则（精确复制，没有删除任何内容）：

define IIFNAME = "ens3";

table inet filter {
  chain input {
    type filter hook input priority filter
    policy drop

    ct state invalid drop comment "early drop of invalid connections"
    ct state {established, related} accept comment "allow tracked connections"
    iifname lo accept comment "allow from loopback"
    ip protocol icmp accept comment "allow icmp"
    meta l4proto ipv6-icmp accept comment "allow icmp v6"
    tcp dport ssh accept comment "allow sshd"
    tcp dport 5666 accept comment "webserver";
    
    pkttype host limit rate 5/second counter reject with icmpx type admin-prohibited
    counter
  }

  chain forward {
    type filter hook forward priority filter
    policy drop

        iifname "docker0" oifname $IIFNAME accept;
        iifname $IIFNAME oifname "docker0" accept;
  }

我可以连接到端口5666，这是预期和期望的。但是，问题是，尽管到5665端口的连接被阻止（至少我是这样认为的），我仍然可以连接到5665端口，绕过 nginx 反向代理。

经过反复试验后，我发现问题出在“前向”链规则上，即：

        iifname "docker0" oifname $IIFNAME accept;
        iifname $IIFNAME oifname "docker0" accept;

删除这些规则可以解决这个问题，但也会阻止容器访问互联网。

我的两个问题：

1. 为什么“转发”规则如此重要？我认为“转发”规则仅适用于数据包应该由另一台机器（或容器）接收的情况。但是，端口5665正在通过 监听当前主机端口docker-proxy。即使数据被“转发”到容器，它也不是由内核转发的，而是由用户空间应用程序转发的 - docker-proxy，因此我希望内核使用INPUTchain 而不是FORWARDchain。然而，规则似乎确实FORWARD很重要。

2. （也许这个问题的答案在有了上一个问题的答案之后就很清楚了，但我还是会问）我如何阻止5665从外部（从接口）访问转发端口，同时允许容器访问互联网（即通过主机上的接口ens3发出请求）？ens3